Juunis ilmus Eesti Ekspressis lugu sellest, kuidas justiits- ja digiminister soovib kokku koguda abivajavate laste andmed, koondada need kokku ühte superandmebaasi ning lasta tehisarul reastada, milline laps esmajärjekorras abi vajab. Nüüd on ministeerium kinnitanud, et plaaniga minnakse edasi ja projekti tarbeks eraldati 230 000 eurot.
Tõsi, abivajavaid lapsi on Eestis palju ning asjaga tegelevate ametnike ja töötajate sõnul on andmevahetus kesine, kuid kas tõesti on tehisaruga nende andmete, sh isikuandmete töötlemine parim lahendus? Kui riik võtab oma südameasjaks lastele abi osutada, siis peaks väga suur osa sellest olema nende laste isikuandmete kaitse. Käesolevaga sooviks välja tuua üsna karjuvad probleemid Mudila projektis, mis võivad neid lapsi kummitama jääda terveks eluks kuna ei Internet ega eriti tehisaru saadud informatsiooni ei unusta. Iga isikuandmete töötlemine peab olema seadusega kooskõlas ning selleks seaduseks on peamiselt EL isikuandmete kaitse üldmäärus ja isikuandmete kaitse seadus. Võtame Mudila isikuandmete kaitse üldmääruse suhtes pulkadeks.
Millal viiakse läbi seaduse poolt nõutavad analüüsid?
Iga uus andmetöötlus, mis toimub uut tehnoloogiat kasutades, mida tehisaruga isikuandmete töötlemine igal juhul on, nõuab enne töötlemise algust andmekaitsealast mõjuhinnangut. Üldmäärus ütleb väga konkreetselt, et mõjuhinnang on kohustuslik, kui toimub inimeste isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb isikuandmete automaatsel töötlemisel ja millel on inimese jaoks õiguslik tagajärg või tagajärg, mis mõjutab inimest samaväärselt oluliselt. Ilmselgelt mõjutab abivajavat last ning potentsiaalselt tema vanemate andmete töötlemine Mudilas väga suurel määral. Toetuse taotluse vormist nähtub, et tuleb vastata jah/ei küsimusele, kas on vaja läbi viia andmekaitsealane mõjuhinnang. See hellitab lootust, et mõjuhinnang on läbi viidud, kuid mõjuhinnangu esitamise kohustus peaks olema juba taotluse esitamise faasis, et oleks selge kas ja kuidas on võimalik inimeste privaatsusele tekkivaid riske maandada.
Analüüsi teemal tuleb teha kiire kõrvalepõige Euroopa Liidu tehisaru määrusesse. Tehisaru määrus liigitab tehisintellekti kasutamise muuhulgas keelatud kasutusviisiks ja kõrge riskiga kasutusviisiks. Kõrge riskiga tehisintellektisüsteem on näiteks selline süsteem, mis on ette nähtud ametiasutustele kasutamiseks, et hinnata kas inimene kvalifitseerub mõne avaliku teenuse või hüve saamiseks. Abivajavale lapsele abi osutamine nagu on see kirjas lastekaitseseaduses võib kvalifitseeruda selliseks avalikuks hüveks või teenuseks, millest räägib tehisaru määrus. Kui see nii on, tuleb läbi viia mõjuhinnang, kus analüüsitakse sellise tehisintellektisüsteemi mõju inimese põhiõigustele. Sellise analüüsi läbiviimise nõuet või mõnd küsimust selle kohta toetuse taotluse vormis ei nähtu.
Tehisaruga andmete töötlemise seaduslikkus on tõsiselt kaheldav
Üks tõsine juriidiline probleem on Mudilaga see, et abivajava lapse andmeid on tänases õigusruumis lubatud koguda ja töödelda lastekaitse seaduse alusel vaid kohalikul omavalitsusel. Kui infot tahetakse Mudila andmebaasis näidata näiteks Politsei ja Piirivalveametile, siis tuleb õigusruumi muuta. Seda on möönnud ka minister. Siiski on eksperdid ajakirjanduses maininud (EE 06.06.2026 artikkel), et probleem on kesine info vahetamine. Ehk siis jääb justkui mulje, et andmed on iseenesest olemas, aga need ei liigu. Selle probleemi lahenduse juurde ei kuulu tehisaru ja sellega isikuandmete töötlemine nagu on plaan Mudilaga. Tegelema peaks andmevahetuse viisi loomisega või selle efektiivistamisega kuna see on inimese privaatsust palju vähem riivavam viis. Uue andmebaasi loomine, mille jaoks tuleb muuhulgas muuta seadusandlust, et erinevatele asutustele andmebaasile juurdepääs anda, ei kõla kuidagi mõistliku lahendusena. Õigusriik ei saa toimida selliselt, et mõeldakse välja miskit uut ja tehakse seadus järgi selliselt nagu vaja.
Miks pole endiselt selgeks mõeldud andmete kogum, mis Mudilasse jõuab?
Siiani pole arusaadav milliseid andmeid Mudila koguma hakkab. Siiski on alust aimata, et erinevaid andmeid, mida koguma hakatakse, on palju. Sealhulgas tõenäoliselt eriliiki isikuandmed, näiteks terviseandmed, millega tuleb eriti rangelt ümber käia. Kui nüüd mõelda, et need andmed antakse töötlemiseks tehisaru kätte, mida tegelikult haldab mõni tehnoloogiahiid, tekib kõhedus. Kuidas tagada, et neid andmeid ei kasutata tehisaru mudelite edasi treenimiseks? Kas me oleme nõus nii tundliku info andma ära klausli eest lepingus, et andmeid näiteks tehisaru mudeli edasi treenimiseks ei kasutata? Tehisaruga tekib veel üks suur probleem – kuidas tehisaru mudelist andmeid kustutada? Minister on öelnud, et vajaduse kadumisel kaob ka laps Mudilast, aga kuidas? Jällegi, kas me usaldame mõnda välisriigi tehnoloogiahiidu nii väga, et tõesti usume, tõenäoliselt väga naiivselt, et andmed päriselt tehisaru mudelist kustuvad? Tõele otsa vaadates tuleb siiski tõdeda, et tõenäoliselt jäävad need andmed tehisaru mudeli ja seda mudelit arendava ettevõtte kätte igaveseks. Mis tekitab suure probleemi küberturvalisusest. Kui sellised andmed peaksid lekkima, on inimesele tehtud kahju üüratu, arvestades, et Mudilasse soovitakse lisada andmeid terve lapse perekonna kohta.
Ka Euroopa tehisaru määrus seab ette rea piiranguid ja nõudeid
Lisaks isikuandmete kaitse üldmäärusele tuleb vaadata Euroopa Liidu tehisaru määruse poole. Tehisaru määruse järgi on keelatud selline tehisintellekti kasutusviis, mille eesmärgiks on hinnata või prognoosida riski kas inimene paneb toime kuriteo, tuginedes selle inimese kohta tehtud profiilianalüüsile või tema isikuomaduste ja erijoonte hindamisele. Kui Mudila eesmärgiks on reastada abivajavad lapsed, siis üheks selliseks kriteeriumiks, mis konkreetse lapse reas ettepoole tõstab, võib olla teave selle kohta, et sellel lapsel võib olla kalduvus kuriteo toimepanemisele. Loodetavasti on enne toetuse eraldamist läbi viidud analüüs, kas Mudila projekt on tehisaru määruse mõistes üldse lubatud kasutusviis või mitte, kuid sellise analüüsi läbiviimise nõuet toetuse taotluse hindamise korras ei nähtu. Sellest, kas Mudila võiks olla kõrge riskiga tehisintellektisüsteem, oli juttu juba eespool.
Eesti Ekspressi 06.06.2026 ilmunud loost ilmneb, et murekohaks on kesine infovahetus. Siinkohal tekib küsimus, miks on vaja lisada sellele probleemile juurde tehisaru, kes hakkab abivajavaid lapsi reastama? Tehisaruga laste ja laste perekonnaliikmete isikuandmete töötlemise seaduslikkus on väga kaheldav ning nõuab vähemalt uusi õiguslikke aluseid seaduse tasandil. Tuleb meeles pidada, et uusi seadusi ei saa vastu võtta ühe või teise projekti läbiviimise eesmärgiga. Seadus peab olema kooskõlas põhiseadusega ning põhiseadus ütleb selgelt, et igaühel on õigus perekonna- ja eralu puutumatusele. Mudila plaan tundub sellega vastuollu minevat.
Arvamusloo autor on Eesti Andmekaitse Liidu juhatuse liige Triin Kihuoja
